KI-gestützte Softwareentwicklung soll Tempo und Qualität steigern. Transparenzregeln fehlen bisher, doch die Bundesregierung vertraut auf klassische IT-Sicherheit.
Der Einsatz von Künstlicher Intelligenz bei der Softwareentwicklung stößt bei der Bundesregierung auf ein durchweg positives Echo. In ihrer Antwort auf eine Anfrage der AfD-Fraktion betont die Exekutive, dass die Nutzung generativer KI in diesem Bereich ("Vibe-Coding") dazu beitragen kann, die Qualität von Entwicklungsleistungen zu verbessern und Prozesse spürbar zu beschleunigen. Das Phänomen beschreibt die Interaktion mit KI-Systemen in natürlicher Sprache anstelle des manuellen Schreibens von Programmcode.
Die Fragesteller befürchten hier erhebliche Sicherheitsrisiken durch unbemerkt eingeschleuste Schwachstellen. Das federführende Digitalministerium vertritt dagegen den Standpunkt, dass letztlich die Qualität der fertigen Software und nicht das verwendete Werkzeug entscheidend sei.
Mit Blick auf die Beschaffung von IT-Leistungen durch die Bundesverwaltung verweist die Regierung auf die bewährten "Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen" (EVB-IT). Sie steuern Beschaffungsprozesse anhand klar definierter fachlicher und technischer Anforderungen. Für sensible Softwareentwicklungen wurden darüber hinaus zusätzliche Klauseln innerhalb des ITZBund etabliert. Die Exekutive räumt aber gleichzeitig ein, dass in den aktuellen EVB-IT-Regelwerken derzeit keine besonderen Offenlegungspflichten für KI-generierte Code-Anteile verankert seien. Auftragnehmer müssten demnach nicht zwingend ausweisen, ob und in welchem Umfang sie KI-Assistenten bei der Erstellung des Codes verwendet haben.
Bei Eigenentwicklungen und beauftragten Projekten setzt die Bundesverwaltung zwar gemäß den Vorgaben des E-Government-Gesetzes vorrangig auf Open-Source-Software. Eine Pflicht zum Einsatz offenen Quellcodes für jedwede Beschaffung besteht indes nicht.
Um Sicherheitsrisiken unabhängig von der Entstehungsweise des Codes wirksam zu begegnen, greifen laut dem Digitalressort die etablierten IT-Sicherheitsvorgaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Im ITZBund etwa finde ein mehrstufiges Softwarequalitätsmanagement statt, bei dem der Quellcode automatisiert auf bekannte Schwachstellen, Viren sowie CVE-Einträge gescannt und funktional getestet werde. Ergänzend gehörten regelmäßige Code-Reviews zum festen Bestandteil des Prozesses.
Ein besonderer Schwerpunkt liege dabei auf dem Schutz sensibler und geheimschutzrelevanter Informationen, heißt es. Die Verarbeitung solcher Daten mithilfe von KI erfolge ausschließlich auf bereitgestellten Entwicklungsinstanzen auf eigenen Computerinfrastrukturen, bei denen Sprachmodelle in sicheren Rechenzentren des ITZBunds ohne jegliche Anbindung an das Internet betrieben würden. Ein unkontrollierter Abfluss sensibler Informationen über an externe Dienste übermittelte Prompts werde auf diese Weise technisch ausgeschlossen. Ferner würden die Beschäftigten der IT-Dienstleister des Bundes durch gezielte Schulungen und Hausanweisungen für den sensiblen Umgang mit Daten sensibilisiert.
Den Schulungsstand der Mitarbeiter im risikobewussten Umgang mit KI-Programmierassistenten stellt die Bundesverwaltung durch die Einhaltung gesetzlicher Bestimmungen sicher. Insbesondere die Vorgaben aus Artikel 4 der europäischen KI-Verordnung werden der Regierung zufolge vor der Nutzung entsprechender Werkzeuge konsequent umgesetzt. Etwaige darüber hinausgehende Schulungsbedarfe würden unmittelbar durch die IT-Dienstleister des Bundes realisiert.
Dennoch bleibt die allgemeine Sicherheitslage anspruchsvoll. Das BSI hatte in einer Cybersicherheitswarnung darauf hingewiesen, dass moderne KI-Systeme in der Lage seien, Schwachstellen in Software innerhalb kürzester Zeit autonom zu erkennen und in verwertbare Angriffspfade zu überführen. Das senke die Einstiegshürden für offensive Cyberfähigkeiten maßgeblich und führe zu einer insgesamt erhöhten Bedrohungslage, bei der Betreibern weniger Zeit für die Umsetzung von Schutzmaßnahmen bleibt.
Die Exekutive bewertet diese technischen Herausforderungen und Risiken als durch geeignete Maßnahmen beherrschbar. Entscheidend seien eine durchgehend sicherheitssensitive Implementierung von IT-Gesamtsystemen, entsprechende Pre-Tests wie Penetrationstests und eine permanente Überwachung durch ein Security Operations Center. Konkrete Fälle, in denen Sicherheitslücken in Bundessoftware nachweislich auf KI-generierten Code zurückzuführen waren, sind der Regierung nach eigenen Angaben bislang nicht bekannt.
Die zivilrechtliche und vertragliche Verantwortung richtet sich im Schadensfall nach den vertraglichen Vereinbarungen und den gewährleistungsrechtlichen Festlegungen zwischen Auftraggeber und Auftragnehmer. Kontrollstrukturen und entsprechende Zuständigkeiten sollen innerhalb der Bundesverwaltung bereits bestehen und kontinuierlich ausgebaut werden. Die parlamentarische Debatte verdeutlicht aber, dass der Einsatz generativer KI im öffentlichen Sektor engmaschig begleitet und reguliert werden muss.
Stefan Krempl
Keine Kommentare:
Kommentar veröffentlichen